CVE-2026-56073: Cap-go: bypass de verificação OTP por manipulação de respostas do servidor
Versões do Cap-go anteriores à 12.128.2 contêm um bypass de autenticação na verificação OTP, que pode permitir a um atacante concluir falsamente a verificação de e-mail ao alterar respostas do servidor. Segundo o registro, isso pode habilitar 2FA sem autorização e tomada de conta, e a pontuação CVSS 3.1 base é 9.4 (crítica).
Visão geral
A CVE-2026-56073 afeta o Cap-go em versões anteriores à 12.128.2. A fraqueza é um bypass de autenticação fluxo de verificação OTP: segundo o registro, um atacante pode alterar respostas do servidor para que a verificação de e-mail seja indicada erroneamente como bem-sucedida. A fraqueza é classificada como CWE-345, Verificação Insuficiente da Autenticidade dos Dados.
Impacto
- O registro afirma que um atacante pode marcar falsamente a verificação como bem-sucedida, o que pode permitir a ativação de 2FA sem autorização.
- O registro associa isso à tomada de conta.
- A pontuação CVSS 3.1 base é 9.4 (crítica), com impacto alto em confidencialidade e integridade e baixo em disponibilidade. Também consta uma pontuação CVSS 4.0 de 9.3.
Produtos e versões afetadas
- A faixa afetada indicada no registro é o Cap-go anterior à 12.128.2.
- Os campos estruturados de afetados e correções do registro estão vazios, por isso os detalhes de produto e versão dependem do texto da descrição.
- Fontes: aviso no GitHub, aviso da VulnCheck.
Status de exploração
A CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Trate o risco como alto com base na severidade e na natureza da falha, e não em ataques observados.
Remediação e mitigação
- Atualize o Cap-go para a versão 12.128.2 ou posterior. Esse limite de versão vem da descrição; confirme a correção exata no aviso do fornecedor antes da implantação.
- Até a correção, restrinja o acesso aos endpoints de verificação OTP e de e-mail quando possível e monitore-os de perto.
- Revise contas que habilitaram 2FA ou alteraram o status de verificação recentemente, sobretudo sem ação clara do usuário.
- Imponha o estado de verificação no lado do servidor e evite confiar em resultados de verificação feitos no cliente.
Orientação para detecção
- Revise os logs em busca de eventos de verificação OTP bem-sucedidos sem registros de verificação correspondentes no backend.
- Gere alertas para cadastros de 2FA ou alterações de verificação de e-mail ocorridos logo após requisições OTP ou padrões incomuns de resposta.
- Correlacione alterações de conta com anomalias de login para identificar possível tomada de conta.
Limitações das informações disponíveis
- O registro não inclui uma lista confirmada de versões corrigidas além do limite indicado na descrição.
- Não há dados do catálogo KEV da CISA, pontuação EPSS ou decisão SSVC disponíveis.
- Detalhes técnicos do caminho de exploração não são fornecidos aqui, por decisão deliberada.
- Fonte: entrada no NVD.
Perguntas frequentes
Quais versões do Cap-go são afetadas pela CVE-2026-56073?
Segundo a descrição do registro, são afetadas as versões do Cap-go anteriores à 12.128.2. O campo estruturado de produtos afetados está vazio, por isso confirme a faixa no aviso do fornecedor.
Há exploração ativa conhecida para esta CVE?
A CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. A correção ainda deve ser tratada como prioridade devido à severidade crítica.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.